JP2022176312A - 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム - Google Patents

車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム Download PDF

Info

Publication number
JP2022176312A
JP2022176312A JP2022160651A JP2022160651A JP2022176312A JP 2022176312 A JP2022176312 A JP 2022176312A JP 2022160651 A JP2022160651 A JP 2022160651A JP 2022160651 A JP2022160651 A JP 2022160651A JP 2022176312 A JP2022176312 A JP 2022176312A
Authority
JP
Japan
Prior art keywords
vehicle
communication
log
warning
control unit
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2022160651A
Other languages
English (en)
Other versions
JP7428222B2 (ja
Inventor
正行 坂田
Masayuki Sakata
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NEC Corp
Original Assignee
NEC Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by NEC Corp filed Critical NEC Corp
Publication of JP2022176312A publication Critical patent/JP2022176312A/ja
Application granted granted Critical
Publication of JP7428222B2 publication Critical patent/JP7428222B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/008—Registering or indicating the working of vehicles communicating information to a remotely located station
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60K—ARRANGEMENT OR MOUNTING OF PROPULSION UNITS OR OF TRANSMISSIONS IN VEHICLES; ARRANGEMENT OR MOUNTING OF PLURAL DIVERSE PRIME-MOVERS IN VEHICLES; AUXILIARY DRIVES FOR VEHICLES; INSTRUMENTATION OR DASHBOARDS FOR VEHICLES; ARRANGEMENTS IN CONNECTION WITH COOLING, AIR INTAKE, GAS EXHAUST OR FUEL SUPPLY OF PROPULSION UNITS IN VEHICLES
    • B60K28/00—Safety devices for propulsion-unit control, specially adapted for, or arranged in, vehicles, e.g. preventing fuel supply or ignition in the event of potentially dangerous conditions
    • B60K28/10—Safety devices for propulsion-unit control, specially adapted for, or arranged in, vehicles, e.g. preventing fuel supply or ignition in the event of potentially dangerous conditions responsive to conditions relating to the vehicle 
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60R—VEHICLES, VEHICLE FITTINGS, OR VEHICLE PARTS, NOT OTHERWISE PROVIDED FOR
    • B60R16/00—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for
    • B60R16/02—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements
    • B60R16/023—Electric or fluid circuits specially adapted for vehicles and not otherwise provided for; Arrangement of elements of electric or fluid circuits specially adapted for vehicles and not otherwise provided for electric constitutive elements for transmission of signals between vehicle parts or subsystems
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/035—Bringing the control units into a predefined state, e.g. giving priority to particular actuators
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/08—Interaction between the driver and the control system
    • B60W50/12—Limiting control by the driver depending on vehicle state, e.g. interlocking means for the control input for preventing unsafe operation
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/08—Interaction between the driver and the control system
    • B60W50/14—Means for informing the driver, warning the driver or prompting a driver intervention
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0841—Registering performance data
    • G07C5/085—Registering performance data using electronic data carriers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60K—ARRANGEMENT OR MOUNTING OF PROPULSION UNITS OR OF TRANSMISSIONS IN VEHICLES; ARRANGEMENT OR MOUNTING OF PLURAL DIVERSE PRIME-MOVERS IN VEHICLES; AUXILIARY DRIVES FOR VEHICLES; INSTRUMENTATION OR DASHBOARDS FOR VEHICLES; ARRANGEMENTS IN CONNECTION WITH COOLING, AIR INTAKE, GAS EXHAUST OR FUEL SUPPLY OF PROPULSION UNITS IN VEHICLES
    • B60K28/00—Safety devices for propulsion-unit control, specially adapted for, or arranged in, vehicles, e.g. preventing fuel supply or ignition in the event of potentially dangerous conditions
    • B60K2028/006—Safety devices for propulsion-unit control, specially adapted for, or arranged in, vehicles, e.g. preventing fuel supply or ignition in the event of potentially dangerous conditions disconnecting the electric power supply, e.g. the vehicle battery
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/08—Interaction between the driver and the control system
    • B60W50/14—Means for informing the driver, warning the driver or prompting a driver intervention
    • B60W2050/143—Alarm means
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W60/00—Drive control systems specially adapted for autonomous road vehicles
    • B60W60/001—Planning or execution of driving tasks
    • B60W60/0015—Planning or execution of driving tasks specially adapted for safety
    • B60W60/0018—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions
    • B60W60/00188—Planning or execution of driving tasks specially adapted for safety by employing degraded modes, e.g. reducing speed, in response to suboptimal conditions related to detected security violation of control systems, e.g. hacking of moving vehicle
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0808—Diagnosing performance data
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07C—TIME OR ATTENDANCE REGISTERS; REGISTERING OR INDICATING THE WORKING OF MACHINES; GENERATING RANDOM NUMBERS; VOTING OR LOTTERY APPARATUS; ARRANGEMENTS, SYSTEMS OR APPARATUS FOR CHECKING NOT PROVIDED FOR ELSEWHERE
    • G07C5/00—Registering or indicating the working of vehicles
    • G07C5/08—Registering or indicating performance data other than driving, working, idle, or waiting time, with or without registering driving, working, idle or waiting time
    • G07C5/0816—Indicating performance data, e.g. occurrence of a malfunction
    • G07C5/0825—Indicating performance data, e.g. occurrence of a malfunction using optical means

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Mechanical Engineering (AREA)
  • Transportation (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Human Computer Interaction (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Combustion & Propulsion (AREA)
  • Chemical & Material Sciences (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

【課題】サイバー攻撃における実際の攻撃の段階よりも前にサイバー攻撃の予兆を検知できる可能性を高める。【解決手段】車載セキュリティ対策装置１０は、通信ログを収集するログ収集手段１１と、収集された通信ログを解析するログ解析手段１２と、ログ解析手段１２が通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する制御手段１３とを備え、車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される。【選択図】図７

Description

本発明は、車両へのサイバー攻撃に対するセキュリティ対策に関する。
コネクテッドカーは、ＩｏＴ（Internet of Things）技術を使用し、端末としての機能を有する自動車（車両）である。コネクテッドカーは、自車の状態に関するデータを取得したり、周囲の道路状況などの様々なデータをセンサから取得する。コネクテッドカーにおいて、データが集積され分析されることによって、新たな価値を生み出すことが期待されている。具体的には、事故時に自動的に緊急通報を行うシステムや、盗難時に車両の位置を追跡するシステム等が実用化されつつある。
コネクテッドカーは、無線通信ネットワークを介して、他の車両やクラウドサーバと連携する。したがって、コネクテッドカーにおける車載装置のうちには、車両の外部の機器や他車両と通信を行う装置がある。よって、コネクテッドカーに、サイバー攻撃を受ける可能性が生ずる。
サイバー攻撃は、いくつかの種類に分類される。サイバー攻撃のうちの一つに標的型攻撃がある。標的型攻撃を行う攻撃者の攻撃手順がモデル化されたフローとして、サイバーキルチェーンが知られている（例えば、非特許文献１参照）。
図１０に示すように、サイバーキルチェーンは、７つの段階（偵察（Reconnaissance）、武器化（Weaponization）、配送（Delivery）、攻撃（Exploitation）、インストール（Installation）、遠隔制御（Command and Control）、目的実行（Actions on Objectives）からなる。
一般に、サイバーキルチェーンにおける「攻撃」の段階以降においてサイバー攻撃を検知する技術が知られている。しかし、コネクテッドカーに対するサイバー攻撃は、車両内におけるサービスの低下や停止を生じさせかねない。例えば、車両が不正に制御されるといった事態を生じさせかねない。
したがって、例えばサイバーキルチェーンにおける「偵察」の段階で、サイバー攻撃が検知されることが望ましい。
特許文献１には、サイバー攻撃の予兆を検知する技術が開示されている。その技術では、車両内の車載ネットワークを通過するフレームが監視され、異常フレームが検出されると、攻撃を受けている可能性があると判定される。
未知の攻撃を受けた場合でも、攻撃を受けた事実を迅速に検知し、攻撃による影響範囲を自動的に隔離する自己学習型システム異常検知技術（ＡＳＩ：Automated Security Intelligence ）がある（例えば、非特許文献２参照）。ＡＳＩでは、収集した動作ログが収集され、収集された動作ログに対してＡＩ（Artificial Intelligence ）によって学習処理が行われることによって、監視対象のシステムにおける平常状態（監視対象のシステムの動作が安定している状態）が特定される。その後、監視対象のシステムの状態がリアルタイムで監視され、状態が平常状態から外れた場合に、異常が生じたと判定される。
特開２０１８－１９０４６５号公報
"THE CYBER KILL CHAIN"、[online]、Lockheed Martin Corp.、[平成３１年２月２２日検索]、インターネット<URL:https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html> 多賀戸 裕樹 他、「未知のサイバー攻撃を自動検知する自己学習型システム異常検知技術（ＡＳＩ）」、ＮＥＣ技報、Vol. 69 、２０１６年９月、４７－５０頁
しかし、車載ネットワークに異常フレームが流れているときには、車両の外部からのサイバー攻撃が既に「攻撃」の段階に入っている可能性がある。よって、特許文献１に記載された技術を用いる場合、対策が後手に回る可能性がある。また、非特許文献２に記載されたＡＳＩによれば、効果的にサイバー攻撃を検知できるが、サイバー攻撃の「偵察」の段階を検知するには、何らかの追加的な工夫が求められる。
本発明は、サイバー攻撃における実際の攻撃の段階よりも前にサイバー攻撃の予兆を検知できる可能性を高める車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システムを提供することを目的とする。
本発明による車載セキュリティ対策装置は、通信ログを収集するログ収集手段と、収集された通信ログを解析するログ解析手段と、ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する制御手段とを含み、車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される。
本発明による車載セキュリティ対策方法は、車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される車載セキュリティ対策装置で実行される車載セキュリティ対策方法であって、通信ログを収集し、収集された通信ログを解析し、通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する。
本発明による車載セキュリティ対策システムは、クラウドサーバと、通信ネットワークを介してクラウドサーバと通信可能な車載システムとを含み、車載システムが、通信ログを収集するログ収集手段と、収集された通信ログを解析するログ解析手段と、ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、通信ネットワークを介してクラウドサーバに所定のデータを送信する制御手段とを含み、クラウドサーバが、所定のデータを受信したときに、車載システムに対して、エラーが発生している通信パスを遮断させることを示すデータを送信する指示手段を含み、車載システムは、車載ネットワークと通信ネットワークとに接続可能な車載中継装置に搭載される。
本発明によれば、サイバー攻撃の予兆を検知できる可能性を高めることができる。
車載ネットワークを含む車載システムの一例を示すブロック図である。 ＣＧＷの機能構成例を示すブロック図である。 クラウドセンタの機能構成例を示すブロック図である。 ＣＧＷの動作を示すフローチャートである。 ＩＶＩシステムの機能構成例を示すブロック図である。 ＩＶＩシステムの動作を示すフローチャートである。 車載セキュリティ対策装置の概要を示すブロック図である。 セキュリティ対策システムの概要を示すブロック図である。 ＣＰＵを有するコンピュータの一例を示すブロック図である。 サイバーキルチェーンを示す説明図である。
実施形態１．
以下、本発明の第１の実施形態を図面を参照して説明する。図１は、車載ネットワークを含む車載システムの一例を示すブロック図である。図１には、車外の機器等も記載されている。なお、本実施形態では、車載ネットワークは、ノードを含まないデータ通信路の部分を意味する。
図１に示す車載システムにおいて、車載ネットワークとしてＣＡＮ（Controller Area Network ）が例示されている。しかし、他の種類の車載ネットワークが使用されてもよい。
図１に示す例では、車両１００に搭載されている車載システムは、セントラルゲートウェイ（ＣＧＷ：Central Gateway ）１１０、ファイアウォール（ＦＷ：Firewall）１２１，１２２、テレマティクス通信ユニット（ＴＣＵ：Telematics Communication Unit ）１３０、車載インフォテインメントシステム（ＩＶＩシステム：In-Vehicle Infotainment System）１４０、ＦＷ１５０、電子制御ユニット（ＥＣＵ：Electronic Control Unit ）１６１，１６２，１６３，１６４、およびＣＡＮ１７０を含む。なお、ＣＧＷは、異なる種類のネットワークを接続可能な中継装置の一例である。
なお、図１には、ＦＷ１２１，１２２およびＦＷ１５０が明示的に示されているが、すなわち、独立したハードウェアとして示されているが、ＦＷ１２１，１２２が実現するファイアウォール機能は、ＣＧＷ１１に組み込まれてもよい。また、ＦＷ１５０が実現するファイアウォール機能は、ＩＶＩシステム１４０に組み込まれていてもよい。
ＣＧＷ１１０は、ゲートウェイ機能を有し、ＣＡＮ１７０における複数のバスに接続される。ＦＷ１２１，１２２は、不正パケットなどの不正データを遮断する。
ＴＣＵ１３０は、３Ｇ（3rd Generation）、ＬＴＥ（Long Term Evolution ）、ＷｉＦｉ（登録商標）等の通信規格に従って無線通信を行う機能（無線通信機能）を有し、クラウドセンタ２００と双方向通信可能である。ＣＧＷ１１０は、ＦＷ１２１、ＴＣＵ１３０を介してクラウドセンタ２００とデータ送受信可能である。
ＩＶＩシステム１４０は、音声および映像でユーザに娯楽または必要な情報を提供する装置である。したがって、ＩＶＩシステム１４０は、少なくとも、表示器とスピーカとを含む。ＩＶＩ１４０の一例として、カーナビゲーション機能を有する装置がある。図１に示す例では、ＩＶＩ１４０と無線通信可能なスマートフォン４００およびＢＴ（Bluetooth ：登録商標）イヤホン４１０が例示されている。一般に、スマートフォン４００およびＢＴイヤホン４１０は、車両１００の内部に存在するユーザ、または、車両１００の近傍に存在するユーザによって使用される。以下、スマートフォン４００およびＢＴイヤホン４１０を外部機器という。
ＩＶＩシステム１４０は、ＦＷ１２２、ＣＧＷ１１０、ＦＷ１２１およびＴＣＵ１３０を介して、クラウドセンタ２００とデータ送受信可能である。ＦＷ１５０は、不正パケットなどの不正データを遮断する。ＩＶＩシステム１４０は、ＦＷ１５０を介して外部機器と通信可能である。
クラウドセンタ２００は、例えば、クラウドサーバである。具体例として、ＩＴＳ（Intelligent Transport Systems ：高度道路交通システム）におけるセンターサーバがある。
なお、図１には、説明の容易等のために、ＣＧＷ１１０が、ＦＷ１２１を介して直接（ＴＣＵ１３０を介さずに）クラウドセンタ２００と通信するように表現されているが（図１における破線の矢印参照）、実際には、ＣＧＷ１１０は、ＴＣＵ１３０を介してクラウドセンタ２００と通信する。また、図１には、ＩＶＩシステム１４０が、直接（ＴＣＵ１３０を介さずに）クラウドセンタ２００と通信するように表現されているが（図１における破線の矢印参照）、実際には、ＩＶＩシステム１４０は、ＣＧＷ１１０およびＴＣＵ１３０を介してクラウドセンタ２００と通信する。
また、図１には、４つのＥＣＵ１６１，１６２，１６３，１６４が例示されているが、一般に、車両１００には、数１０個以上のＥＣＵが搭載されている。ＥＣＵの具体例として、例えば、エンジンＥＣＵ、ステアリングＥＣＵ、サスペンションＥＣＵ、電源ＥＣＵがある。本実施形態において、電源ＥＣＵは、電源制御手段の一例である。また、エンジンＥＣＵは、エンジン制御手段の一例である。なお、図１には、ＣＡＮにおいて２つのバスが存在することが例示されているが、バスの数は、３つ以上であることが多い。
図２は、ＣＧＷ１１０の機能構成例を示すブロック図である。なお、図２には、ＣＧＷ１１０が、ＦＷ１２１，１２２の機能を内蔵している構成が示されている。ＣＧＷ１１０がＦＷ１２１，１２２の機能を内蔵していることは必須のことではなく、図１に示されたように、ＣＧＷ１１０の外部に独立したＦＷ１２１，１２２が設置されていてもよい。
図２に示すＣＧＷ１１は、トランシーバ１１１，１１２、ＦＷ部１２１ａ，１２２ａ、通信制御部１１５、ログ収集部１１６、記憶部１１７、ログ解析部１１８、および警告制御部１１９を含む。
トランシーバ１１１は、ＣＡＮ１７０の一方のバス１７０ａに接続され、通信制御部１１５からのデータをバス１７０ａに送信する。また、トランシーバ１１１は、バス１７０ａからのデータを受信し通信制御部１１５に入力する。トランシーバ１１２は、ＣＡＮ１７０の他方のバス１７０ｂに接続され、通信制御部１１５からのデータをバス１７０ｂに送信する。また、トランシーバ１１２は、バス１７０ｂからのデータを受信し通信制御部１１５に入力する。
ＦＷ部１２１ａは、図１に示されたＦＷ１２１と同様の機能を有する。ＦＷ部１２２ａは、図１に示されたＦＷ１２２と同様の機能を有する。
通信制御部１１５は、例えば、バス１７０ａ，１７０ｂから受信したデータＩＤ（Identification）に基づいて、データをバス１７０ａまたはバス１７０ｂに転送する。また、通信制御部１１５は、クラウドセンタ２００から受信されたデータをＩＶＩシステム１４０に転送したり、ＩＶＩシステム１４０から受信されたデータをクラウドセンタ２００に転送する。このとき、通信制御部１１５は、必要であれば、プロトコル変換を行う。
ログ収集部１１６は、ＴＣＵ１３０を介して受信されたデータに関するログ（通信ログ）を収集して、記憶部１１７にログデータとして保存する。ログ解析部１１８は、記憶部１１７に保存されているログデータを解析する。
警告制御部１１９は、ログ解析部１１８がサイバー攻撃（特に、「偵察」の段階の攻撃）を受けている可能性があると判断した場合に、警告表示のための処理を実行する。
なお、本実施形態では、車載セキュリティ対策方法を実施する車載セキュリティ対策装置は、ＣＧＷ１１０に組み込まれている。車載セキュリティ対策装置は、例えば、通信制御部１１５、ログ収集部１１６、記憶部１１７、ログ解析部１１８および警告制御部１１９で実現される。
図３は、クラウドセンタ２００の機能構成例を示すブロック図である。
図３に示す例では、クラウドセンタ２００は、通信インタフェース部２１０、車両制御部２２０、情報管理部２３０、および記憶部２４０を含む。
通信インタフェース部２１０は、車両１００との通信のインタフェース機能を有する。情報管理部２３０は、通信インタフェース部２１０を介して車両１００に交通情報のデータ等を送信する。交通情報のデータ等は、記憶部２４０に記憶されている。
車両制御部２２０は、車両１００からの要求に応じて、車両１００に対して所定の指示を行う。
次に、図４のフローチャートを参照してＣＧＷ１１０の動作を説明する。図４に示される処理では、ＴＣＵ１３０の側から受信したデータが処理の対象とされる。
図４に示す処理は、以下のような考え方に基づく。すなわち、「偵察」の段階において、装置の脆弱性を確認するために、最初ブルートフォースアタック（総当たり攻撃）が実行されることがある。総当たり攻撃が実行されると、装置内に、同じようなエラーログが大量に蓄積される。一例として、攻撃者は、空いているポートを確認するときに、0x0000～0xffffを順番にチェックする。また、４桁の数字のパスワードということがわかっている場合、0000～9999を順番に調査する。装置には、そのような調査に応じたログが残る。
ＣＧＷ１１０において、ログ収集部１１６は、受信したデータに関するログを順次記憶部１１７に格納する（ステップＳ１０１）。解析周期としてあらかじめ決められている期間が経過すると（ステップＳ１０２）、ログ解析部１１８は、記憶部１１７に記憶されているログを解析する（ステップＳ１０３）。解析周期は、一例として、数時間、１日、または数日である。なお、ログ解析部１１８は、記憶部１１７に記憶されているログの件数があらかじめ決められている件数に達したら、ステップＳ１０３の処理を実行するようにしてもよい。
ログ解析部１１８が、ログを解析した結果、エラーログが多発したと判定した場合には（ステップＳ１０４）、ステップＳ１０５の処理が実行される。ログ解析部１１８は、例えば、解析周期において収集されたログのうちに所定数以上（しきい値を越える数）のエラーログが含まれていた場合に、エラーログが多発したと判断する。所定数は、例えば、通常状態（サイバー攻撃を受けていないと思われる状態）において観測されるエラーログの数の数１００倍～数１０００倍の値に設定される。具体例として、通常状態において観測されるエラーログの数が１０，０００件／日であれば、所定数は、１００，０００，０００件／日に設定される。なお、本実施形態では、エラーログの多発が、サイバー攻撃における「偵察」が生じている可能性の具体例である。
ステップＳ１０４の処理で、エラーログが多発していないと判定された場合には、ステップＳ１０１に戻る。
なお、本実施形態では、ログ解析部１１８が、解析周期において収集されたログのうちに所定数以上のエラーログが含まれていた場合に、エラーログが多発したと判断するが、解析周期における全ログデータ数に対するエラーログ数の割合が所定のしきい値を越えている場合に、エラーログが多発したと判断してもよい。
ステップＳ１０５において、警告制御部１１９は、警告表示（第１の警告表示）のための処理を実行する。具体的には、警告制御部１１９は、通信制御部１１５に、警告表示を依頼する。通信制御部１１５は、依頼に応じて、例えば、ＦＷ部１２２ａを介してＩＶＩシステム１４０に、警告表示を指示するためのデータを送信する。ＩＶＩシステム１４０は、当該データを受信したら、表示器に警告表示を行う。なお、車両１００内にＩＶＩシステム１４０以外の表示手段（警告手段の一例）が存在する場合には、通信制御部１１５は、その表示手段に対して、警告表示を指示するためのデータを送信してもよい。また、警告制御部１１９は、警告表示の依頼を出力するのではなく、警告音を出力するように通信制御部１１５に依頼してもよい。その場合には、警告手段は、例えばスピーカで実現される。
警告制御部１１９は、最初にステップＳ１０１の処理が実行されてから第１の所定時間が経過したか否か確認する（ステップＳ１０６）。第１の所定時間は、解析周期よりも長い任意の時間であるが、例えば、解析周期の２～３倍の時間に設定される。第１の所定時間が経過していない場合には、ステップＳ１０１に戻る。
第１の所定時間が経過した場合には、警告制御部１１９は、ＣＧＷ１１０がクラウドセンタ２００に接続されているか否か確認する（ステップＳ１０７）。クラウドセンタ２００に接続されている状態は、例えば、クラウドセンタ２００とデータ交換可能な状態である。クラウドセンタ２００とデータ交換可能な状態であるか否かは、通信制御部１１５が、送信元がクラウドセンタ２００をあることを特定可能なデータを受信できるか否かによって容易に把握可能である。
ＣＧＷ１１０がクラウドセンタ２００に接続されていない場合には、ステップＳ１１１に移行する。
ＣＧＷ１１０がクラウドセンタ２００に接続されている場合には、警告制御部１１９は、エラーログが多発したことを示すデータを通信制御部１１５に出力する（ステップＳ１０８）。通信制御部１１５は、ＦＷ部１２１ａを介してＴＣＵ１３０に当該データを出力する。ＴＣＵ１３０は、当該データをクラウドセンタ２００に送信する。なお、エラーログが多発したことを示すデータは、クラウドセンタ２００に対する問合せのためのデータを兼ねている。
クラウドセンタ２００における車両制御部２２０は、通信インタフェース部２１０を介してエラーログが多発したことを示すデータを受信すると、当該データに対応してあらかじめ決められている処理を実行する。あらかじめ決められている処理として、例えば、車両１００の電源を恒久的にオフするための処理がある。なお、「恒久的にオフする」は、電源がオフした後、ユーザ操作では電源再投入することができないことを意味する。電源再投入できないので、エンジンを再起動させることはできない。なお、車両の電源をオフされると、エラーが発生している通信パスは遮断される上に、攻撃者からの他の通信パスを介する攻撃も受けなくなる。また、あらかじめ決められている処理は、電源はオン状態であるが、エンジンを再起動させないようにするための処理であってもよい。
電源が恒久的にオフされた後、例えば、自動車ディーラー等に存在する権限がある者によって、車両１００は、エンジンを再起動できる状態または電源再投入することができる状態に戻される。換言すれば、人手を介さないと、エンジンを再起動できる状態または電源が投入可能な状態に復旧しない。上記の権限として、例えば、再起動指令用データとしての暗号鍵に関する権限がある。その例では、具体的には、通信制御部１１５が、権限がある者から暗号化されたデータを受信し、警告制御部１１９が、受信されたデータを暗号鍵（復号鍵）で復号する。正しく復号できた場合には、エンジンを再起動できる状態に戻すことをエンジン制御手段に依頼する。なお、その例では、車両の電源はオン状態である。
車両制御部２２０は、通信インタフェース部２１０を介して、あらかじめ決められている処理を示すデータをＣＧＷ１１０に対して送信する。当該データは、ＴＣＵ１３０を介してＣＧＷ１１０で受信される。ＣＧＷ１１０は、当該データが示す処理を実行する（ステップＳ１０９）。一例として、当該データが電源を恒久的にオフするための処理を示す場合には、警告制御部１１９は、車両１００の電源を恒久的にオフするための処理を実行する。例えば、警告制御部１１９は、通信制御部１１５、および、トランシーバ１１１またはトランシーバ１１２を介して、電源制御を行うＥＣＵに、電源オフの指示を送信する。ＥＣＵは、車両１００に電源が供給されない状態に設定する。なお、ＥＣＵは、電源が供給されない状態が恒久的に継続されるように制御する。
車両制御部２２０は、あらかじめ決められている処理を示すデータとして、ＣＧＷ１１０が現在成立させている通信パスを切断することを示すデータ（例えば、セッションを切断することを示すデータ）を送信してもよい。そのようなデータを使用する場合には、通信制御部１１５が、当該データを受信したときに、エラーが発生している通信パスを切断することができる。
いずれにせよ、車両１００において、警告制御部１１９または通信制御部１１５は、あらかじめ決められている処理を実行することによって、サイバー攻撃者との間の通信を遮断することができる。すなわち、車両１００における車載システムは、サイバー攻撃が継続されない状況を作り出すことができる。
ステップＳ１１１において、警告制御部１１９は、警告表示（第２の警告表示）のための処理を実行する。具体的には、警告制御部１１９は、通信制御部１１５に、「車両１００をクラウドセンタ２００に接続される環境にする」ことを要求する警告表示を依頼する。通信制御部１１５は、依頼に応じて、例えば、ＦＷ部１２２ａを介してＩＶＩシステム１４０に、警告表示を指示するためのデータを送信する。ＩＶＩシステム１４０は、当該データを受信したら、表示器に警告表示を行う。
なお、「車両１００をクラウドセンタ２００に接続される環境にする」ことを要求する警告表示は、第２の警告表示の一例である。第１の警告表示よりも厳しい内容の警告表示であれば、他の内容が表示されてもよい。
警告制御部１１９は、警告表示の依頼を出力するのではなく、警告音を出力するように通信制御部１１５に依頼してもよいが、警告音は、ステップＳ１０５の処理で警告表示に代えて出力された警告音に比べて、大音量の警告音や高周波数の警告音であることが好ましい。
その後、ログ収集部１１６は、受信したデータに関するログを順次記憶部１１７に格納する（ステップＳ１１２）。解析周期としてあらかじめ決められている期間が経過すると（ステップＳ１１３）、ログ解析部１１８は、記憶部１１７に記憶されているログを解析する（ステップＳ１１４）。
ログ解析部１１８が、ログを解析した結果、エラーログが多発していないと判定した場合には（ステップＳ１１５）、ステップＳ１１８に移行する。
ログ解析部１１８が、エラーログが多発したと判定した場合には、警告制御部１１９は、最初にステップＳ１０１の処理が実行されてから第２の所定時間が経過したか否か確認する（ステップＳ１１６）。第２の所定時間は、解析周期よりも長く、かつ、第１の所定時間よりも長い任意の時間であるが、例えば、解析周期の３～４倍の時間に設定される。第２の所定時間が経過していない場合には、ステップＳ１１２に戻る。
第２の所定時間が経過している場合には、警告制御部１１９は、車両１００の電源を恒久的にオフするための処理を実行する（ステップＳ１１７）。車両１００の電源を恒久的にオフするための処理は、上述した処理と同じである。
ステップＳ１１８では、警告制御部１１９は、サイバー攻撃が終了したとみなして、警告表示を解除するための処理を実行する。具体的には、警告制御部１１９は、通信制御部１１５に、警告表示の解除を依頼する。通信制御部１１５は、依頼に応じて、例えば、ＦＷ部１２２ａを介してＩＶＩシステム１４０に、警告表示の解除を指示するためのデータを送信する。ＩＶＩシステム１４０は、当該データを受信したら、表示器における警告表示を消去する。なお、警告音が発せられている場合には、警告音を停止する。その後、ステップＳ１０１に戻る。また、警告制御部１１９は、通信制御部１１５およびＴＣＵ１３０を介して、クラウドセンタ２００に、サイバー攻撃が終了したことを報告してもよい。
実施形態２．
第１の実施形態では、車載セキュリティ対策方法を実施する車載セキュリティ対策装置は、ＣＧＷ１１０に組み込まれている。第２の実施形態では、車載セキュリティ対策装置は、ＩＶＩシステム１４０に組み込まれる。
図５は、ＩＶＩシステム１４０の機能構成例を示すブロック図である。図５に示すＩＶＩシステム１４０は。ＦＷ部１５０ａ、第１の通信制御部１４１、第２の通信制御部１４２、ＩＶＩ機能部１４３、表示器１４４、ログ収集部１４６、記憶部１４７、ログ解析部１４８、および警告制御部１４９を含む。
第１の通信制御部１４１は、外部機器から受信されたデータをＩＶＩ機能部１４３に転送したり、ＩＶＩ機能部１４３からのデータを外部機器に転送する制御を行う。第２の通信制御部１４２は、ＣＧＷ１１０から受信されたデータをＩＶＩ機能部１４３に転送したり、警告制御部１４９からのデータをＣＧＷ１１０に転送する制御を行う。
ＦＷ部１５０ａは、図１に示されたＦＷ１５０と同様の機能を有する。なお、図５には、ＩＶＩシステム１４０が、ＦＷ１５０の機能を内蔵している構成が示されている。ＩＶＩシステム１４０がＦＷ１５０の機能を内蔵していることは必須のことではなく、図１に示されたように、ＩＶＩシステム１４０の外部に独立したＦＷ１５０が設置されていてもよい。
ＩＶＩ機能部１４３は、ＩＶＩの本体の機能を果たすブロックである。ＩＶＩがカーナビゲーションである場合には、ＩＶＩの本体の機能は、カーナビゲーションである。表示器１４４は、ＩＶＩ機能部１４３から出力される表示データに基づく表示を行う。表示器１４４は、警告制御部１４９からのデータに基づく表示も行う。
ログ収集部１４６は、第１の通信制御部１４１で受信されたデータを収集して、記憶部１４７にログデータとして保存する。ログ解析部１４８は、記憶部１４７に保存されているログデータを解析する。
警告制御部１４９は、ログ解析部１４８がサイバー攻撃（特に、「偵察」の段階の攻撃）を受けている可能性があると判断した場合に、警告表示のための処理を実行する。
なお、本実施形態では、車載セキュリティ対策方法を実施する車載セキュリティ対策装置は、ＩＶＩシステム１４０に組み込まれているが、車載セキュリティ対策装置は、例えば、第１の通信制御部１４１、ログ収集部１４６、記憶部１４７、ログ解析部１４８および警告制御部１４９で実現される。
次に、図６のフローチャートを参照してＩＶＩシステム１４０の動作を説明する。図６に示される処理では、外部機器（例えば、図１に例示されたスマートフォン４００）から受信されるはずのデータが対象とされる。
図６に示すフローチャートの内容すなわちＩＶＩシステム１４０の動作は、図４に示されたフローチャートの内容すなわちＣＧＷ１１０の動作とほぼ同じである。
しかし、本実施形態では、ＩＶＩシステム１４０は、第１の通信制御部１４１で受信されたデータに関するログ（通信ログ）を順次記憶部１４７に格納する（ステップＳ１０１Ａ，Ｓ１１２Ａ）。
また、ステップＳ１０５Ａにおいて、警告制御部１４９は、直接に、表示器１４４に、警告表示（第１の警告表示）のためのデータを与えて警告表示させる。ステップＳ１０８Ａにおいて、警告制御部１４９は、エラーログが多発したことを示すデータを第２の通信制御部１４２に出力する。第２の通信制御部１４２は、当該データをＣＧＷ１１０に送信する。ＣＧＷ１１０は、ＴＣＵ１３０を介してクラウドセンタ２００に当該データを送信する。ステップＳ１０９Ａにおいて、警告制御部１４９は、エラーログが多発したことを示すデータに対応してあらかじめ決められている処理を実行することを示すデータを、ＣＧＷ１１０を介して入手する。なお、当該データは、クラウドセンタ２００から送信されたデータである。
また、ステップＳ１１１Ａにおいて、警告制御部１４９は、直接、表示器１４４に、警告表示させる。
ステップＳ１１７Ａにおいて、警告制御部１４９は、第２の所定時間が経過している場合に車両１００の電源を恒久的にオフするための処理を実行するが、本実施形態では、警告制御部１４９は、恒久的な電源オフを、第２の通信制御部１４２を介して、ＣＧＷ１１０に依頼する。ＣＧＷ１１０における通信制御部１１５は、トランシーバ１１１またはトランシーバ１１２を介して、電源制御を行うＥＣＵに、電源オフの指示を送信する。ＥＣＵは、車両１００に電源が供給されない状態に設定する。
ステップＳ１１８Ａにおいて、警告制御部１４９は、直接、表示器１４４に、警告表示を解除させる。
その他の処理は、図４に示された処理と同じである。
実施形態３．
上記の各実施形態では、車載セキュリティ対策装置は、ＣＧＷ１１０またはＩＶＩシステム１４０に組み込まれているが、車載システムにおける他のブロックに、上述した車載セキュリティ対策方法（図４および図６参照）を実行する車載セキュリティ対策装置が組み込まれてもよい。
例えば、上述した車載セキュリティ対策方法が、ＴＣＵ１３０で実行されるようにしてもよい。また、上述した車載セキュリティ対策方法が、ＥＣＵ１６１，１６２，１６３，１６４で実行されるようにしてもよい。
次に、具体的な実施例を説明する。以下、車載セキュリティ対策装置がＣＧＷ１１０に組み込まれた場合を例にする。
サイバー攻撃者が車両１００を購入し、その車両に対して、例えばセキュリティホールを探索するために、ＴＣＵ１３０を介して「偵察」の段階のサイバー攻撃を行ったとする。
サイバー攻撃者が所定の期間（第１の実施形態では、解析期間）を越えてサイバー攻撃を継続した場合（図４におけるステップＳ１０２参照）、その期間においてエラーログが多発するはずなので、第１の警告表示がなされる（ステップＳ１０５参照）。第１の警告表示によって、サイバー攻撃者がサイバー攻撃を止めることが期待される。
しかし、第１の警告表示がなされたにも関わらず、サイバー攻撃者がサイバー攻撃を止めない場合には、クラウドセンタ２００の指示に応じて、例えば、車両１００の電源が恒久的にオフされる（ステップＳ１０９参照）。よって、サイバー攻撃者は、サイバー攻撃を継続できない。
車両１００がクラウドセンタ２００に接続されていない場合には、第１の警告表示よりも厳しい内容の第２の警告表示がなされる（ステップＳ１１１参照）。第２の警告表示によって、サイバー攻撃者がサイバー攻撃を止めることが期待される。
しかし、第２の警告表示がなされたにも関わらず、サイバー攻撃者がサイバー攻撃を止めない場合には、所定の期間（第１の実施形態では、第２の所定時間）を越えてサイバー攻撃を継続したときに（ステップＳ１１６参照）、車両１００の電源が恒久的にオフされる（ステップＳ１０９参照）。よって、サイバー攻撃者は、サイバー攻撃を継続できない。
以上に説明したように、車載セキュリティ対策装置は、所定期間におけるエラーログの発生頻度（エラーログ数、または、全ログにおけるエラーログが占める割合）が所定のしきい値を越えたことを契機にして、サイバー攻撃が実行されていることが発覚していることを表す警告がなされる。サイバー攻撃者が警告を無視してサイバー攻撃を続行する場合には、例えば車両１００の電源が恒久的にオフされたり（図４におけるステップＳ１０９参照）、あらためて警告がなされたりする（ステップＳ１１１参照）。サイバー攻撃者があらためての警告も無視するような場合には、電源が恒久的にオフされて、サイバー攻撃者がサイバー攻撃を実施できない状況が構築される。
したがって、サイバー攻撃者の偵察行為が効果的に防止されることを期待できる。
なお、警告を行うことなく直ちに電源が恒久的にオフされるようにしてもよい。しかし、サイバー攻撃がなされていないときに何らかの原因でエラーログの頻度が高くなるような可能性も考慮すると、警告を行ってから電源が恒久的にオフされることが好ましい。
本実施例では、サイバー攻撃者が購入した車両１００を対象として、セキュリティホールの発見等を目的としたサイバー攻撃が実行されることを想定したが、サイバー攻撃の実行環境として様々なものが考えられる。例えば、長期間不使用の車庫内に存在する車両１００が対象とされることが考えられる。また、サイバー攻撃者が、車庫内に存在する車両１００から車載システムの全部または一部を取り外し、取り外された車載システムを対象とすることが考えられる。
また、上記の各実施形態では、エラーログの発生頻度に基づいて警告等が開始されたが、エラーログ以外の指標を用いて、警告等が開始されるようにしてもよい。エラーログ以外の指標として、例えば、特定のＩＤ（一例として、クラウドサーバ２００のＩＤやユーザが所有するスマートフォン４００のＩＤ）を含むパケット以外のパケットの受信頻度を用いることができる。
さらに、サイバー攻撃者が車載システムの一部（例えば、ＣＧＷ１１０）を取り外し、取り外された車載システムの一部を対象として「偵察」の行為を行うような場合には、車載セキュリティ対策装置は、ＣＡＮ１７０を通過するはずのデータを用いて車載セキュリティ対策方法を実行することもできる。例えば、ＣＡＮ１７０を通過するはずの速度情報のデータが所定期間に亘って受信できないような状況が生じたら、警告制御部１１９（図２参照）は、図４に示されたステップＳ１０５、ステップＳ１０８，Ｓ１０９、ステップ１１１、ステップＳ１１７の処理（警告処理や電源オフの処理）を実行するようにしてもよい。
また、上記の各実施形態では、コネクテッドカーにおける車載システムで実行される車載セキュリティ対策方法を例にしたが、上記のセキュリティ対策方法は、コネクテッドカー以外のＩｏＴ技術に基づく装置に適用可能である。
また、上述したように、ＡＳＩは効果的にサイバー攻撃を検知できる技術であり、上記の各実施形態の車載セキュリティ対策方法とＡＳＩとを共働させることは有意義である。
図７は、車載セキュリティ対策装置の概要を示すブロック図である。車載セキュリティ対策装置１０は、通信ログを収集するログ収集手段１１（実施形態では、ログ収集部１１６，１４６で実現される。）と、収集された通信ログを解析するログ解析手段１２（実施形態では、ログ解析部１１８，１４８で実現される。）と、ログ解析手段１２が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えたと判断したときに、警告手段（一例として、表示器１４４）に警告を発生させ、警告手段に警告を発生させた後、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合には、エラーが発生している通信パスを遮断する制御手段１３（実施形態では、警告制御部１１９および通信制御部１１５、または、警告制御部１４９および第２の通信制御部１４２などで実現される。）とを備える。
図８は、セキュリティ対策システムの概要を示すブロック図である。セキュリティ対策システムは、クラウドサーバ２０（実施形態では、クラウドセンタ２００で実現される。）と、通信ネットワーク３０を介してクラウドサーバ２０と通信可能な車載システム４０とを含み、車載システム４０が、通信ログを収集するログ収集手段１１と、収集された通信ログを解析するログ解析手段１２と、ログ解析手段１２が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えたと判断したときに、警告手段に警告を発生させ、警告手段に警告を発生させた後、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合には、通信ネットワーク３０を介してクラウドサーバ２０にエラーの発生頻度が所定のしきい値を越えたことを示すデータを送信する制御手段１３とを含み、クラウドサーバ２０が、データを受信したときに、車載システム４０に対して、エラーが発生している通信パスを遮断させることを示すデータを送信する指示手段２１を含む。
図９は、ＣＰＵ（Central Processing Unit ）を有するコンピュータの一例を示すブロック図である。コンピュータは、車載セキュリティ対策装置（具体的には、ＣＧＷ１１０やＩＶＩシステム１４０など）に実装される。ＣＰＵ１０００は、記憶装置１００１に格納されたセキュリティ対策プログラムに従って処理を実行することによって、上記の実施形態における各機能を実現する。
すなわち、コンピュータが図２に示されたＣＧＷ１１０に実装された場合には、ＣＰＵ１０００は、ＣＧＷ１１０における通信制御部１１５、ログ収集部１１６、ログ解析部１１８、および警告制御部１１９の機能を実現する。コンピュータが図５に示されたＩＶＩシステム１４０に実装された場合には、ＣＰＵ１０００は、ＩＶＩシステム１４０における各機能を実現する。すなわち、ＣＰＵ１０００は、第１の通信制御部１４１、第２の通信制御部１４２、ログ収集部１４６、ログ解析部１４８、および警告制御部１４９の機能を実現する。コンピュータが図７に示された車載セキュリティ対策装置１０に実装された場合には、ＣＰＵ１０００は、ログ収集手段１１、ログ解析手段１２、および制御手段１３の機能を実現する。
記憶装置１００１は、例えば、非一時的なコンピュータ可読媒体（non-transitory computer readable medium ）である。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium ）を含む。非一時的なコンピュータ可読媒体の具体例として、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM ）、フラッシュＲＯＭ）がある。
メモリ１００２は、例えばＲＡＭ（Random Access Memory）で実現され、ＣＰＵ１０００が処理を実行するときに一時的にデータを格納する記憶手段である。図２に示された記憶部１１７および図５に示された記憶部１４７は、メモリ１００２で実現される。
以上、実施形態を参照して本願発明を説明したが、本願発明は上記の実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
この出願は、２０１９年３月１４日に出願された日本特許出願２０１９－０４７２８３を基礎とする優先権を主張し、その開示の全てをここに取り込む。
１０ 車載セキュリティ対策装置
１１ ログ収集手段
１２ ログ解析手段
１３ 制御手段
２０ クラウドサーバ
２１ 指示手段
３０ 通信ネットワーク
４０ 車載システム
１００ 車両
１１１，１１２ トランシーバ
１１５ 通信制御部
１１６ ログ収集部
１１７ 記憶部
１１８ ログ解析部
１１９ 警告制御部
１２１，１２２ ＦＷ（ファイアウォール）
１２１ａ，１２２ａ ＦＷ部
１３０ ＴＣＵ（テレマティクス制御ユニット）
１４０ ＩＶＩシステム（車載インフォテインメントシステム）
１４１ 第１の通信制御部
１４２ 第２の通信制御部
１４３ ＩＶＩ機能部
１４４ 表示器
１４６ ログ収集部
１４７ 記憶部
１４８ ログ解析部
１４９ 警告制御部
１５０ ＦＷ（ファイアウォール）
１５０ａ ＦＷ部
１６１～１６４ ＥＣＵ（電子制御ユニット）
１７０ ＣＡＮ
１７０ａ，１７０ｂ バス
２００ クラウドセンタ
２１０ 通信インタフェース部
２２０ 車両制御部
２３０ 情報管理部
２４０ 記憶部
１０００ ＣＰＵ
１００１ 記憶装置
１００２ メモリ

Claims (6)

  1. 通信ログを収集するログ収集手段と、
    収集された通信ログを解析するログ解析手段と、
    前記ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する制御手段と
    を備え、
    車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される
    ことを特徴とする車載セキュリティ対策装置。
  2. 前記制御手段は、前記ログ解析手段が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合に、エラーが発生している通信パスを遮断する
    請求項１記載の車載セキュリティ対策装置。
  3. 車載ネットワークと車両外の装置との通信に使用されるネットワークとに接続可能な車載中継装置に搭載される車載セキュリティ対策装置で実行される車載セキュリティ対策方法であって、
    通信ログを収集し、
    収集された通信ログを解析し、
    通信ログを解析して得られたエラーの発生頻度に基づいて、エラーが発生している通信パスを遮断する
    ことを特徴とする車載セキュリティ対策方法。
  4. 通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合に、エラーが発生している通信パスを遮断する
    請求項３記載の車載セキュリティ対策方法。
  5. クラウドサーバと、通信ネットワークを介して前記クラウドサーバと通信可能な車載システムとを含み、
    前記車載システムは、
    通信ログを収集するログ収集手段と、
    収集された通信ログを解析するログ解析手段と、
    前記ログ解析手段が通信ログを解析して得られたエラーの発生頻度に基づいて、前記通信ネットワークを介して前記クラウドサーバに所定のデータを送信する制御手段とを含み、
    前記クラウドサーバは、前記所定のデータを受信したときに、前記車載システムに対して、エラーが発生している通信パスを遮断させることを示すデータを送信する指示手段を含み、
    前記車載システムは、車載ネットワークと前記通信ネットワークとに接続可能な車載中継装置に搭載される
    ことを特徴とするセキュリティ対策システム。
  6. 前記制御手段は、前記ログ解析手段が通信ログを解析した結果、エラーの発生頻度が所定のしきい値を越えている状態が継続している場合に、前記所定のデータを送信する
    請求項５記載のセキュリティ対策システム。
JP2022160651A 2019-03-14 2022-10-05 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム Active JP7428222B2 (ja)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2019047283 2019-03-14
JP2019047283 2019-03-14
JP2021505592A JP7160178B2 (ja) 2019-03-14 2020-02-05 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム
PCT/JP2020/004265 WO2020184001A1 (ja) 2019-03-14 2020-02-05 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
JP2021505592A Division JP7160178B2 (ja) 2019-03-14 2020-02-05 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

Publications (2)

Publication Number Publication Date
JP2022176312A true JP2022176312A (ja) 2022-11-25
JP7428222B2 JP7428222B2 (ja) 2024-02-06

Family

ID=72426750

Family Applications (2)

Application Number Title Priority Date Filing Date
JP2021505592A Active JP7160178B2 (ja) 2019-03-14 2020-02-05 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム
JP2022160651A Active JP7428222B2 (ja) 2019-03-14 2022-10-05 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

Family Applications Before (1)

Application Number Title Priority Date Filing Date
JP2021505592A Active JP7160178B2 (ja) 2019-03-14 2020-02-05 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム

Country Status (3)

Country Link
US (1) US20220157090A1 (ja)
JP (2) JP7160178B2 (ja)
WO (1) WO2020184001A1 (ja)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7373803B2 (ja) * 2020-09-29 2023-11-06 パナソニックＩｐマネジメント株式会社 情報送信装置、サーバ、及び、情報送信方法
WO2022176131A1 (ja) * 2021-02-18 2022-08-25 日本電信電話株式会社 通信監視装置、通信監視方法およびプログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013131907A (ja) * 2011-12-21 2013-07-04 Toyota Motor Corp 車両ネットワーク監視装置
JP2013187555A (ja) * 2012-03-05 2013-09-19 Auto Network Gijutsu Kenkyusho:Kk 通信システム
WO2016088304A1 (ja) * 2014-12-01 2016-06-09 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法
JP2018142167A (ja) * 2017-02-28 2018-09-13 パナソニックＩｐマネジメント株式会社 制御装置、宅内機器、およびプログラム

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106557082B (zh) * 2015-09-26 2019-01-29 广州汽车集团股份有限公司 车辆电控单元的故障码检测与记录方法及车辆电控单元
JP6828632B2 (ja) * 2017-08-03 2021-02-10 住友電気工業株式会社 検知装置、検知方法および検知プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013131907A (ja) * 2011-12-21 2013-07-04 Toyota Motor Corp 車両ネットワーク監視装置
JP2013187555A (ja) * 2012-03-05 2013-09-19 Auto Network Gijutsu Kenkyusho:Kk 通信システム
WO2016088304A1 (ja) * 2014-12-01 2016-06-09 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法
JP2018142167A (ja) * 2017-02-28 2018-09-13 パナソニックＩｐマネジメント株式会社 制御装置、宅内機器、およびプログラム

Also Published As

Publication number Publication date
US20220157090A1 (en) 2022-05-19
JPWO2020184001A1 (ja) 2020-09-17
JP7160178B2 (ja) 2022-10-25
JP7428222B2 (ja) 2024-02-06
WO2020184001A1 (ja) 2020-09-17

Similar Documents

Publication Publication Date Title
JP7197638B2 (ja) セキュリティ処理方法及びサーバ
JP7492622B2 (ja) 車両異常検知サーバ、車両異常検知システム及び車両異常検知方法
US11985150B2 (en) Cybersecurity on a controller area network in a vehicle
JP6574535B2 (ja) グローバル自動車安全システム
JP7178346B2 (ja) 車両監視装置、不正検知サーバ、および、制御方法
JP6807906B2 (ja) 車両へのコンピュータ攻撃を阻止するためのルールを生成するシステムおよび方法
JP7496404B2 (ja) セキュリティ処理方法及びサーバ
JP7428222B2 (ja) 車載セキュリティ対策装置、車載セキュリティ対策方法およびセキュリティ対策システム
JP6762347B2 (ja) 交通手段に対するコンピュータ攻撃を阻止するためのシステムおよび方法
CN105009546B (zh) 信息处理装置和信息处理方法
WO2019151406A1 (ja) 車載装置、インシデント監視方法
US10986093B2 (en) Monitoring device, monitoring method, and computer program
KR102524204B1 (ko) 차량용 네트워크의 침입 대응 장치 및 방법
JP2013131907A (ja) 車両ネットワーク監視装置
KR20200103643A (ko) 차량 내 네트워크에 보안을 제공하는 시스템 및 방법
US12107876B2 (en) Intrusion path analysis device and intrusion path analysis method
WO2020075826A1 (ja) 機器、データ送信方法及びプログラム
US12118083B2 (en) System and method for detection and prevention of cyber attacks at in-vehicle networks
CN111077883A (zh) 一种基于can总线的车载网络安全防护方法及装置
Kelarestaghi et al. Vehicle security: Risk assessment in transportation
US11971982B2 (en) Log analysis device
Oyler et al. Security in automotive telematics: a survey of threats and risk mitigation strategies to counter the existing and emerging attack vectors
Boumiza et al. Intrusion threats and security solutions for autonomous vehicle networks
Kwon et al. Mitigation mechanism against in-vehicle network intrusion by reconfiguring ECU and disabling attack packet
JP7024069B2 (ja) 車両の制御機器に対する攻撃を検出する方法

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20221005

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20231226

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240108

R151 Written notification of patent or utility model registration

Ref document number: 7428222

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R151